Le 27 août 2026, une centaine d'entreprises (OpenAI, Anthropic, Google, Microsoft, Cloudflare, Mastercard) ont cosigné une lettre commune sur la cybersécurité. Le message tient en une phrase : les attaques assistées par IA vont se généraliser dans les mois qui viennent, et la fenêtre pour se préparer est courte.
La lettre parle d'hôpitaux et de stations de traitement d'eau. Votre PME de 40 personnes n'y est pas citée. Elle est pourtant concernée, et pas pour les raisons qu'on imagine.
Ce qui change vraiment, c'est le coût de l'attaque
Une attaque ciblée demandait du travail. Comprendre l'organisation, repérer qui valide les virements, écrire un mail crédible en français, imiter une signature. Sur une entreprise de 40 personnes, le jeu n'en valait pas la chandelle.
C'est cette économie qui bascule. Rédiger cent mails personnalisés, avec le bon nom du fournisseur et la bonne référence de commande, ne coûte plus rien. Le tri des cibles disparaît : tout le monde devient rentable à attaquer.
Les chiffres français le montrent déjà, avant même la vague annoncée. Dans son Panorama de la cybermenace 2025, l'ANSSI relève que les PME, TPE et ETI représentent 48 % des victimes de rançongiciel qui lui sont signalées, la première catégorie touchée, loin devant les collectivités et les établissements de santé. Ce n'est pas parce qu'on vous en veut. C'est parce que vous êtes moins protégé pour un butin comparable.
À quoi ça ressemble concrètement chez vous
Oubliez l'image du pirate qui force un serveur. Ce qu'on voit passer arrive par la porte d'entrée, dans une boîte mail, sans faute d'orthographe.
Le changement de RIB. Votre fournisseur habituel vous écrit que ses coordonnées bancaires changent. Le mail reprend le ton des échanges précédents, cite votre dernière commande, arrive au moment du cycle de facturation. Il ne demande rien d'inhabituel. Il met simplement à jour une information que votre comptabilité met à jour dix fois par an.
L'appel du dirigeant. Une voix au téléphone qui ressemble à la vôtre, un contexte plausible (une acquisition confidentielle, un délai), et une demande de virement urgent adressée à la personne qui a le droit de le faire. Cloner une voix demande aujourd'hui quelques secondes d'audio, et votre dernière conférence en ligne en fournit largement assez.
Le candidat qui n'existe pas. CV cohérent, profil en ligne fourni, entretien visio. L'objectif n'est pas le poste, c'est un accès. On le voit surtout sur les postes techniques en télétravail.
Le point commun : rien ne cloche techniquement. Aucun filtre antispam ne bloquera un mail parfaitement écrit qui demande une chose banale. La défense ne se joue pas dans l'outil, elle se joue dans le processus.
La règle à poser cette semaine
Il n'y a qu'une seule règle qui compte, et elle ne coûte rien : aucune demande d'argent ou de coordonnées bancaires ne se valide sur le canal qui l'a envoyée.
Un mail demande un virement ? On appelle. Un appel demande un virement ? On raccroche et on rappelle sur le numéro du répertoire interne, jamais sur celui donné pendant l'appel. C'est tout. Un deepfake vocal ne survit pas à un rappel sur un numéro connu, parce que l'attaquant ne contrôle pas cette ligne.
Voici le message que vous pouvez envoyer tel quel à votre équipe, ce matin.
Objet : nouvelle règle, validation des paiements
Bonjour à tous,
À partir d'aujourd'hui, une règle simple s'applique à tous,
moi compris.
Toute demande qui concerne un virement, un changement de
coordonnées bancaires ou l'envoi d'un document financier
doit être confirmée sur un AUTRE canal que celui d'où elle
vient, avant exécution.
Concrètement :
- Demande reçue par mail → on appelle la personne.
- Demande reçue par téléphone → on raccroche et on rappelle
sur le numéro enregistré en interne. Pas sur le numéro
donné pendant l'appel.
- Le contact ne répond pas → la demande attend. Toujours.
Deux précisions qui comptent :
1. L'urgence n'est pas une exception. Si c'est moi qui vous
demande quelque chose en urgence, vous me rappelez quand
même. Je ne le prendrai jamais mal.
2. Personne ne sera blâmé pour avoir ralenti une demande
légitime. En revanche, une demande exécutée sans
double vérification, ça, on en discute.
En cas de doute, écrivez-moi directement.
Ce message fait le gros du travail parce qu'il retire à l'attaquant son meilleur levier : la gêne du collaborateur à faire attendre son patron.
La grille à coller près du poste comptable
Cinq questions, à passer avant toute exécution. Une seule case cochée suffit à déclencher un rappel.
| # | Signal | Ce qu'on fait |
|---|---|---|
| 1 | La demande crée de l'urgence ou de la confidentialité | Rappel obligatoire, sans exception |
| 2 | Elle modifie des coordonnées bancaires ou une adresse de livraison | Rappel sur le numéro du contrat, pas celui du mail |
| 3 | Elle contourne le circuit habituel de validation | Refus, on repasse par le circuit |
| 4 | L'interlocuteur habituel est injoignable ou « en déplacement » | La demande attend son retour |
| 5 | Le montant est juste sous un seuil de validation connu | Escalade au niveau supérieur |
Imprimez-la. Une grille dans un fichier partagé ne sert à personne à 17h45 un vendredi.
Là où ça coince en vrai
Ce genre de règle tient trois semaines, puis s'érode. Un dirigeant pressé passe outre une fois, et l'équipe comprend que la règle est négociable. Le seul remède qu'on ait vu fonctionner : que le patron se fasse rappeler en premier, visiblement, et remercie la personne qui l'a fait.
L'autre angle mort concerne les entreprises qui automatisent, donc probablement la vôtre. Un agent qui lit vos mails et met à jour votre traitement des commandes applique la règle que vous lui avez donnée, sans le doute qui aurait fait tiquer un humain. Une automatisation autorisée à modifier des données sensibles doit s'arrêter et demander confirmation. Sur ce type de flux, la validation humaine n'est pas une lenteur, c'est le garde-fou.
Même logique sur les échanges sortants : un agent qui gère vos relances client ne doit jamais pouvoir communiquer de coordonnées bancaires sans qu'un humain ait relu.
Commencez par une seule chose
Vous n'avez pas besoin d'un budget cybersécurité pour agir aujourd'hui. Envoyez le message ci-dessus, imprimez la grille, et testez la règle une fois cette semaine sur une demande banale, pour voir si elle tient.
Le reste (sauvegardes vérifiées, double authentification partout, mises à jour) reste indispensable, et vous le savez déjà. Ce qui est nouveau, c'est que la fraude par message est devenue gratuite à produire en masse. C'est là que se joue votre exposition dans les mois qui viennent.
Sources :
- ANSSI, "Panorama de la cybermenace 2025", mars 2026. https://www.cert.ssi.gouv.fr/uploads/CERTFR-2026-CTI-002.pdf, consulté le 28 août 2026.
- OpenAI et cosignataires, "Collective cyberdefense", 27 août 2026. https://openai.com/collective-cyberdefense/, consulté le 28 août 2026.
- SiliconANGLE, "OpenAI, Anthropic and 100-plus firms warn AI attacks are about to scale", 27 août 2026. https://siliconangle.com/2026/08/27/openai-anthropic-and-100-plus-firms-warn-ai-attacks-are-about-to-scale/, consulté le 28 août 2026.